江湖救急！！高分！电脑不知道中的什么毒！

Question

前几天电脑不知道中的什么毒，瑞星杀不出来，卡卡上网助手也找不到了，所以卡卡防户中心也找不到了，杀毒软件，防火墙都升不了级了。我又从做了个系统，用了不到一天就出现这种状况。无耐就下了个360安全卫士，可安上后也打不到文件（软件是在天空下的，应该没问题）。另外瑞星升级保姆提示：“您系统中的HOSTS文件已经被修改，此项可能导致 瑞星升级不正常。不要长篇大论，解决问题追加分数！
根本就安不了新的软件，360和windows清理助手我都下了，但安上之后就找不到程序了。所以用软件还原HOSTS文件是不可能的。

我下了专杀工具要本不行，.exe的文件我点一下马上就消失。

我又重做了系统，装了了360安全卫士，瑞星也升到最高版本，360专杀也用过了，没杀出来。任何不确定程序联网都让我用防火墙屏蔽了，但我一升杀毒软件时病毒又把我的360杀掉了，日死这些杀毒软件，各各都说专杀，没一个能有用。你们都是多久格一次硬盘，我没有移动硬盘，电脑里的东西根本备分不出来。

我在网上查了，这个病毒很利害，，用软件杀是不可能的了，请教各位一下可不可手动或用批处理文件清除掉，如果手动的话请讲得详细点，已经是最高分了

有些同志要看清问题，动动不就告诉人家重装！我昨晚重装了两次才装回来的，还不到24小时， 老毛病又犯了，这病毒实在太可怕了

Answer 1

估计你中的是最新的“磁碟机”病毒，这中病毒九是让你的杀毒邓软件运行不起来！！不过不要慌张！
你可以去网上下载最新的版的瑞星杀毒软件！瑞星公司为对付“磁碟机”。特意开放可一个月的免费使用的08新版！！

还有如果实在还不行的话，你就可以使用杀手锏——重装系统！！哈哈
附录：磁碟机的详细报告！！！
这是一个MFC写的感染型病毒。
病毒运行后首先会在C盘根目录下释放病毒驱动NetApi000.sys，该驱动用来恢复SSDT，把杀毒软件挂的钩子全部卸掉。然后在 System32路径下的com文件夹中释放病毒文件smss.exe、netcfg.dll、netcfg.000、lsass.exe。
然后该程序退出，运行刚刚释放的lsass.exe。
lsass.exe运行后，会在com文件夹下重新释放刚才所释放的文件，同时会在system32文件夹下释放一个新的动态库文件dnsq.dll，然后生成两个随机名的log文件该文件是lsass.exe和dnsq.dll的副本，然后进行以下操作：
1． 从以下网址下载脚本http://www.****.****/*.htm、.....。
2． 生成名为”MCI Program Com Application”的窗口。
3． 程序会删除注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run项下的所有键值。
4． 查找带以下关键字的窗口，查找带以下关键字的窗口，如果找到则向其发消息将其退出：RsRavMon、McShield、PAVSRV…
5． 启动regsvr32.exe进程，把动态库netcfg.dll注到该进程中。
6． 遍历磁盘，在所有磁盘中添加autorun.inf和pagefile.pif，使得用户打开磁盘的同时运行病毒。
7． 通过calcs命令启动病毒进程得到完全控制权限，使得其他进程无法访问该进程。
8． 感染可执行文件，当找个可执行文件时，把正常文件放在自己最后一个节中，通过病毒自身所带的种子值对正常文件进行加密。
smss.exe用来实现进程保护，程序运行后会进行以下操作：
1．创建一个名为xgahrez的互斥体，防止进程中有多个实例运行。
2．然后创建一个名为MSICTFIME SMSS的窗口，该窗口会对三种消息做出反应：
1．WM_QUERYENDSESSION：当收到该消息时，程序会删除注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run项下的所有键值。
2．WM_TIMER：该程序会设置一个时钟，每隔0.2秒查找“MCI Program Com Application”窗口，如果找不到则运行病毒程序。
3．WM_CAP_START：当收到该消息时，向其发送退出消息。
3．把lsass.exe拷贝到C盘根目录下命名为037589.log，同时把该文件拷到启动目录下实现自启动。

dnsq.dll通过挂接全局消息钩子，把自己注到所有进程中，该动态库主要用来HOOK API和重写注册表。动态库被加载后会进行以下操作：
1． 判断自己所在进程是否是lsass.exe、smss.exe、alg.exe，如果是则退出。
2． HOOK psapi.dll中EnumProcessModules、kernel32.dll中 OpenProcess和CloseHandle这几个API使得杀毒软件无法查杀病毒进程。
3． 遍历进程如果进程名为lsass.exe、smss.exe、alg.exe则直接退出，如果是其他进程则创建一个线程，该线程每隔2秒进行以下操作：

1．修改以下键值使得用户无法看到隐藏的受保护的系统文件
HKEY_CURRENT_USERSoftware\Microsoft\Windows\CurrentVersion\Explorer\Advanced
ShowSuperHidden = 0
2．删除以下注册表键值使得用户无法进入安全模式
HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Minimal\

HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\

HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Network\

HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Network\

3．删除以下注册表项，使得镜像劫持失效
HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options
4．读取以下注册表键值，判断当前系统是否允许移动设备自动运行，如果不允许则修改为允许
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
NoDriveTypeAutoRun
5．修改以下注册表项使得手动修改以下键值无效
HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
Type = radio
6．添加以下注册表项使得开机时，系统会把该动态库注到大部分进程中
HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Windows
AppInit_DLLs = %SYSTEM%\dnsq.dll.
7．通过calcs命令启动病毒进程得到完全控制权限，使得其他进程无法访问该进程。
8．查找带以下关键字的窗口，如果找到则向其发消息将其退出：
SREng 介绍、360safe、木、antivir、…
netcfg.dll主要用来下载文件，动态库被加载后会从以下网址下载病毒程序
http://js.k0102.com/data.gif，查找窗口”MCI Program Com Application”如果该窗口不存在则运行下载的程序。

综合评价

此病毒变种繁多，并且在不断更新升级，可以绕过主动防御、Hips、Byshell技术、监控文件和窗口、破坏组策略/IFEO、U盘感染、进程守护、关绝大部分杀毒软件和屏蔽常见安全工具、感染非系统分区下EXE等文件（（包括rar中的exe文件））、关闭自动更新破坏安全模式、删除显示受保护的隐藏系统文件选项、开启驱动器自动播放 autorun、浏览器弹出广告、使用ARP欺骗，坏事做绝，普通用户难以处理。

Answer 2

重启进入“带网络连接的安全模式”，如果你下载并安装了360安全卫士，桌面上应该有“修复360安全卫士”的IE快捷方式（桌面上的删了，可以在“开始”-“程序”-“360安全卫士”的下拉菜单里找到）打开网页后下载“36安全卫士及保险箱修复工具”，运行修复工具按照提示操作，先扫描木马，然后安全启动安全卫士（可能会提示你重启）只要安全卫士可以启动并升级病毒库，再用里面的“查杀流行木马”（最好用全盘扫描，并选中下面的增强功能，可能会时间长点）和“清理恶评插件”还有“IE修复”“系统全面诊断”“清理使用痕迹”这些步骤电脑基本问题不大，剩下的就需要你彻底清理一遍，重启到正常模式把杀毒软件升级到最新，再配合安全卫士全盘扫描一下。。只要是病毒问题用这种方法基本都可以搞定。。
怎么可能，你重装完系统以后肯定有段时间系统是好用的对吧？建议你刚装完系统不要随意操作，尤其不要双击打开任何程序（防止AUTO之类的病毒存在）装完系统的第一件事就是打开网站下载安全卫士，然后安装，如果这个时候刚装完都启动不了安全卫士的话桌面上应该有个安全卫士修复的IE快捷方式，。。。就是我上面说的了。什么厉害不厉害的病毒，只要装完系统能上网，能下载安装，而且可以通过修复工具安全启动的话，都应该可以解决。东西是好用的，看你怎么用了。

Answer 3

中了这个病毒，很难搞，别说烦，重装系统是必要的。重装以后千万千万别打开任何盘，一切在桌面上操作(如果一定要打开别的盘只能在“开始菜单——运行”输入D:然后确定这样打开！)，上网下载杀毒或清理工具（Windows 清理助手，这个不错），很负责任的告诉你，几乎你磁盘里的所有exe格式文件（特别是小文件）都感染了，甚至rar解压包里的exe文件都可能已经感染。实在搞不定只能全盘格式化！

同志，我也告诉你，就算你前一秒钟重装好（更别说前天），你只要一打开别的盘，病毒立刻又自动运行了。

Answer 4

你中的应该是磁碟机病毒,已被称为病毒之王,机器重装系统也不好使,得重新格式化,分区,然后再装系统.很费劲.

Answer 5

磁碟机病毒，或者是机器狗，因为我中过和你说的基本一样
建议全格或者低级格式化硬盘 当然我想你也不会采纳我的意见的